如何使用 EFK 堆栈获取 kubernetes 集群中的审计、文件节拍和指标节拍日志？

Question

我正在尝试在我的 kubernetes 集群的 Kibana 仪表板中使用 Fluentd 将审计、文件节拍和指标节拍日志放在一起。 我可以在 Kibana 仪表板中分别获取审计、文件节拍和指标节拍日志作为特定索引，如 filebeat- 、auditbeat-和 metricbeat-*。

有人可以建议我吗？ 是否有可能在单个索引中获取上述 3 种类型的日志？

Answer 1

是的，假设您谈论的是 EFK 堆栈而不是 ELK 堆栈。 在你的 Fluentd 配置中，你可以有这样的东西：

<match *.**>
  type copy
  <store>
    type elasticsearch
    host localhost
    port 9200
    include_tag_key true
    tag_key @log_name
    logstash_format true
    flush_interval 10s
    index_name fluentd.common.%Y%m%d
  </store>
</match>

它们都将转到相同的索引fluentd.common.%Y%m%d ，而不是index_name fluentd.${tag}.%Y%m%d 。